Orcus RAT IOCs

remote access Trojan

Группа анализа ASEC недавно обнаружила Orcus RAT, распространяемую на файлообменных сайтах под видом взломанной версии Hangul Word Processor. Угрожающий агент, распространяющий эту вредоносную программу, - тот же человек, который распространял на файлообменных сайтах BitRAT и XMRig CoinMiner, замаскированные под инструмент проверки лицензии Windows.

Вредоносная программа, распространяемая угрожающим агентом, имеет схожую форму с предыдущими, за исключением того, что вместо BitRAT используется Orcus RAT. Более того, новая вредоносная программа является более сложной, чем прошлые версии, учитывая тот факт, что она включает в себя сложный процесс обхода обнаружения поведения антивирусным программным обеспечением и регистрирует команды PowerShell в планировщике задач для периодической установки новейших вредоносных программ.

Файлообменные сайты являются основной платформой наряду с торрентами, используемой субъектами угроз для распространения вредоносного ПО среди корейских пользователей. Зарегистрированные пользователи загружают медиафайлы, такие как фильмы и телесериалы, а также программы, такие как игры и утилиты, а также контент для взрослых. Другие пользователи могут заплатить определенную плату и скачать загруженные файлы.

В отличие от случаев случайного распространения вредоносного ПО различными угрожающими субъектами, использующими вредоносное ПО, которое можно легко найти в Интернете, угрожающий субъект, распространявший BitRAT и XMRig CoinMiner, продолжает нацеливаться на корейских пользователей, самостоятельно разрабатывая свое вредоносное ПО и предпринимая попытки обойти продукты AhnLab V3. Кроме того, взломанная версия BitRAT до сих пор не найдена, что говорит о том, что, хотя угрожающие лица сами разрабатывают вредоносное ПО, новейшие штаммы вредоносного ПО иногда приобретаются.

Orcus RAT - троянская вредоносная программа удаленного доступа, которая продается примерно с 2016 года. Компания Orcus Technologies, разработавшая эту программу, при продаже описывала ее как инструмент удаленного администрирования, но она включает не только функцию удаленного управления, но и такие вредоносные функции, как запись клавиатуры, сбор информации с веб-камеры и аккаунта, а также выполнение команд. Соответственно, в новостях появилась статья о том, что канадские власти провели рейд против разработчиков в 2019 году.

Как и другие вредоносные программы RAT, существует взломанная версия Orcus RAT, и поэтому различные субъекты угроз используют это в своих атаках. В этой статье мы кратко опишем процесс от начального способа распространения, когда угрожающий субъект побуждает пользователя установить вредоносное ПО, до конечной установки Orcus RAT и XMRig CoinMiner.

Indicators of Compromise

Domain Port Combinations

  • minecraftrpgserver.com:27036
  • minecraftrpgserver.com:80
  • xmr.2miners.com:12222

URls

  • https://api.telegram.org/bot5538205016:AAH7S9IGtFpb6RbC8W2TfNkjD7Cj_3qxCnI/sendMessage
  • https://docs.google.com/uc?export=download&id=11oXcLJflmBUXZAycZ3mbTiqNctbmox0b
  • https://docs.google.com/uc?export=download&id=1-B3960J-kcD_v9PaVP0gYyGpZVWDTHOw
  • https://docs.google.com/uc?export=download&id=1bPnNN92VXIoGEWl-AAiYq_KAjqZA9Boe
  • https://docs.google.com/uc?export=download&id=1DkEj9fNfDssSj0qNhpQUn1U-bHogDRrv
  • https://docs.google.com/uc?export=download&id=1FgV6vUZZX3XkERFlXDpKQHoo8qYL9r4z
  • https://docs.google.com/uc?export=download&id=1GWm1TFpqTxungXVH0vlktkat5HilyBOJ
  • https://docs.google.com/uc?export=download&id=1kNCUUyEMYVhfp2rypg-3COmlrnAjBeyd
  • https://docs.google.com/uc?export=download&id=1l4cygNMQxj-oyPPPFq65x1ALk9duhd7D
  • https://docs.google.com/uc?export=download&id=1N75CXe7da3gN7DW2eM4X0w1Rb9XJr7Mx
  • https://docs.google.com/uc?export=download&id=1qz1trnHId7cJZsjDnN0r7nSjaLbhw4sN
  • https://docs.google.com/uc?export=download&id=1T3Kp_aH5-D8F5OS1qv40IPIUXoz3orh4
  • https://docs.google.com/uc?export=download&id=1TgGYGUuCp2MC31UKtaOrlEDOIqbvYArO
  • https://docs.google.com/uc?export=download&id=1VgEmuFjDFKXL-zVaaO903BHdoJN3Jr8M

MD5

  • 516a2bde694b31735c52e013d65de48d
  • 6a1fc56b4ce8a62f1ebe25bf7bbe2dbd
  • 7303e2f671f86909527d8514e1f1f171
  • 74bdc2a8d48a6a4833aac4832e38c3b9
  • 9c11f58ed5e7b2806042bc9029a5cca8
  • bd1301fb0bd0f7d2e75f090894423be0
  • ccf2d6c69a4e016cd19fa4ee7bc341ec
  • d3c271624e23c125b77dd774ffa4af5d
Комментарии: 0